PLT（Procedure Linkage Table）的作用是将位置无关的符号转移到绝对地址。当一个外部符号被调用时，PLT 去引用 GOT 中的其符号对应的绝对地址，然后转入并执行。

GOT（Global Offset Table）：用于记录在 ELF 文件中所用到的共享库中符号的绝对地址。在程序刚开始运行时，GOT 表项是空的，当符号第一次被调用时会动态解析符号的绝对地址然后转去执行，并将被解析符号的绝对地址记录在 GOT 中，第二次调用同一符号时，由于 GOT 中已经记录了其绝对地址，直接转去执行即可（不用重新解析）。

其中PLT 对应.plt section ，而GOT对应 .got.plt ，主要对应函数的绝对地址。通过readelf查看可执行文件，我们发现还存在.got section，这个section主要对应动态链接库中变量的绝对地址。我们还要注意PLT section在代码链接的时候已经存在，存在于代码段中，而GOT存在于数据段中。

在我先前的博文ELF文件的加载，我简单的对PLT和GOT进行了介绍。这里我们增加复杂度，重新对这个动态链接机制进行分析。

foo.c:

#include <stdio.h>

void foo(int i)
{
     printf("Test %d\n",i);
}

main.c:

#include <stdio.h>
#include <unistd.h>

extern void foo(int i);

int main()
{
     printf("Test 1\n");
     printf("Test 2\n");
     foo(3);
     foo(4);
     return 0;
}

然后我们将foo.c 编译成为liba.so: gcc -shared -fPIC -g3 -o libfoo.so foo.c
下面编译主main函数：gcc -Wall -g3 -o main main.c -lfoo -L /tmp/libfoo.so

下面我们对这个main进行调试,我们在printf与foo上都打上断点,然后开始运行，调试

(gdb) disassemble
Dump of assembler code for function main:
   0x00000000004006e6 <+0>:	push   %rbp
   0x00000000004006e7 <+1>:	mov    %rsp,%rbp
=> 0x00000000004006ea <+4>:	mov    $0x4007a0,%edi
   0x00000000004006ef <+9>:	callq  0x4005b0 <[email protected]>
   0x00000000004006f4 <+14>:	mov    $0x4007a0,%edi
   0x00000000004006f9 <+19>:	callq  0x4005b0 <[email protected]>
   0x00000000004006fe <+24>:	callq  0x4005e0 <[email protected]>
   0x0000000000400703 <+29>:	callq  0x4005e0 <[email protected]>
   0x0000000000400708 <+34>:	mov    $0x0,%eax
   0x000000000040070d <+39>:	pop    %rbp
   0x000000000040070e <+40>:	retq
End of assembler dump.
...
(gdb) si
0x00000000004005b0 in [email protected] ()

这里我们进入了.plt 中寻找puts函数，查看0x601018中的值，我们发现地址0x004005b6，而0x004005b6正是jmpq的下一条指令，执行完跳如GOT表中查找函数绝对地址。这样做避免了GOT表表是否为真实值检查，如果为空那么寻址，否则直接调用。

(gdb) disassemble
Dump of assembler code for function [email protected]:
=> 0x00000000004005b0 <+0>:	jmpq   *0x200a62(%rip)        # 0x601018 <[email protected]>
   0x00000000004005b6 <+6>:	pushq  $0x0
   0x00000000004005bb <+11>:	jmpq   0x4005a0
End of assembler dump.
(gdb) x/32x 0x601018
0x601018 <[email protected]>:	0x004005b6	0x00000000	0x25e20610	0x0000003e
0x601028 <[email protected]>:	0x004005d6	0x00000000	0x004005e6	0x00000000
...
End of assembler dump.
(gdb) si
0x00000000004005a0 in ?? ()
(gdb)
0x00000000004005a6 in ?? ()
(gdb)
0x0000003e25615b70 in _dl_runtime_resolve () from /lib64/ld-linux-x86-64.so.2
(gdb) disassemble
Dump of assembler code for function _dl_runtime_resolve:
=> 0x0000003e25615b70 <+0>:	sub    $0x78,%rsp
   0x0000003e25615b74 <+4>:	mov    %rax,0x40(%rsp)
...
   0x0000003e25615b9c <+44>:	bndmov %bnd1,0x10(%rsp)
   0x0000003e25615ba2 <+50>:	bndmov %bnd2,0x20(%rsp)
   0x0000003e25615ba8 <+56>:	bndmov %bnd3,0x30(%rsp)
   0x0000003e25615bae <+62>:	mov    0x8i0(%rsp),%rsi
   0x0000003e25615bb6 <+70>:	mov    0x78(%rsp),%rd
   0x0000003e25615bbb <+75>:	callq  0x3e2560e990 <_dl_fixup>
...

这个_dl_runtime_resolve 来自于ld-linux-x86-64.so.2文件，然后在ld中调用_dl_fixup 将真实的puts函数地址填入GOT表中,当程序再次调入puts函数中时，直接jmpq跳转到0x25e6fa70地址执行。

(gdb) disassemble 
Dump of assembler code for function [email protected]:
=> 0x00000000004005b0 <+0>:	jmpq   *0x200a62(%rip)        # 0x601018 <[email protected]>
   0x00000000004005b6 <+6>:	pushq  $0x0
   0x00000000004005bb <+11>:	jmpq   0x4005a0
End of assembler dump.
(gdb) x/32 0x601018
0x601018 <[email protected]>:	0x25e6fa70	0x0000003e	0x25e20610	0x0000003e
0x601028 <[email protected]>:	0x004005d6	0x00000000	0x004005e6	0x00000000
(gdb) n
Single stepping until exit from function _dl_runtime_resolve,
which has no line number information.
0x0000003e25e6fa70 in puts () from /lib64/libc.so.6
...

下面来说明foo的执行：当代码第一次执行foo函数，进程查找GOT表，找不到该函数，这个时候跳转到PLT[0] 使用_dl_runtime_resolve查找foo函数的绝对地址，当找到该函数绝对地址后，进入foo函数执行，foo函数中存在printf () 函数，这个函数和之前main函数中的printf() 不同，重新使用_dl_runtime_resolve 查找libc中的puts函数，将其插入到GOT表中。

(gdb) disassemble
Dump of assembler code for function [email protected]:
   0x00000000004005e0 <+0>:	jmpq   *0x200a4a(%rip)        # 0x601030 <[email protected]>
=> 0x00000000004005e6 <+6>:	pushq  $0x3
   0x00000000004005eb <+11>:	jmpq   0x4005a0
End of assembler dump.
...
(gdb)
0x00007ffff7df85a0 in [email protected] () from libfoo.so
(gdb)
0x00007ffff7df85a6 in [email protected] () from libfoo.so
(gdb)
0x00007ffff7df85ab in [email protected] () from libfoo.so
(gdb)
0x00007ffff7df8590 in ?? () from libfoo.so
(gdb)
0x00007ffff7df8596 in ?? () from libfoo.so
(gdb)
0x0000003e25615b70 in _dl_runtime_resolve () from /lib64/ld-linux-x86-64.so.2

当再次使用libfoo.so 中的foo函数，直接跳转GOT执行即可,无需再次查找。

(gdb)
0x00007ffff7df86db	5	    printf(...);
(gdb)
0x00007ffff7df85a0 in [email protected] () from libfoo.so
(gdb)
0x0000003e25e6fa70 in puts () from /lib64/libc.so.6
...

总结：

ld-linux-x86-64.so.2 是一个动态链接库，负责查找程序所使用的函数绝对地址，并将其写入到GOT表中，以供后续调用。其中GOT[0]为空，GOT[1]和GOT[2]用于保存查找的绝对函数地址，GOT[1]保存的是一个地址，指向已经加载的共享库的链表地址；GOT[2]保存的是一个函数的地址，定义如下：GOT[2] = &_dl_runtime_resolve，这个函数的主要作用就是找到某个符号的地址，并把它写到与此符号相关的GOT项中，然后将控制转移到目标函数，而后面的GOT[3]，GOT[4]…都是通过_dl_fixup 添加的。

参考：

http://www.lizhaozhong.info/archives/524
http://flint.cs.yale.edu/cs422/doc/ELF_Format.pdf
http://rickgray.me/2015/08/07/use-gdb-to-study-got-and-plt.html
http://blog.csdn.net/anzhsoft/article/details/18776111